Was ist ein KI-Agent? Und wann reicht ein Workflow.

Ein KI-Agent ist ein Softwaresystem, das ein Ziel bekommt und den Weg dorthin selbst wählt: Es interpretiert die Situation und entscheidet über den nächsten Schritt, mit Werkzeugen wie Kalender, CRM, ERP, Dokumentenablage oder Ticketsystem. Ein Workflow folgt dagegen einem vorgezeichneten Ablauf nach festen Wenn-dann-Regeln. Für den grösseren Teil der Prozesse in einem KMU reicht der Workflow, er ist günstiger und besser prüfbar. Ein Agent lohnt sich dort, wo die Eingaben variieren und situatives Urteilen nötig ist. Beide Schichten lassen sich heute mit quelloffenen Werkzeugen und mit Modellen aus Schweizer Rechenzentren betreiben. Entscheidend ist in beiden Fällen die Grenze: die definierte Linie, an der das System aufhört zu entscheiden und an einen Menschen übergibt.

---

Was ist ein KI-Agent, einfach erklärt?

Die kürzeste Definition: Ein KI-Agent bekommt ein Ziel statt einer Schrittfolge. Wie er dorthin kommt, entscheidet er unterwegs. Möglich macht das ein Large Language Model (LLM), das die Lage interpretiert, kombiniert mit definierten Werkzeugen und Regeln, die seinen Spielraum festlegen.

Damit unterscheidet sich der Agent von zwei Verwandten, mit denen er oft verwechselt wird. Ein Chatbot beantwortet Fragen im Dialog und bleibt an der Oberfläche; von sich aus handelt er in Ihren Systemen kaum. Eine Workflow-Automatisierung (mit Werkzeugen wie n8n, Make oder Zapier) führt zuverlässig aus, was vorher definiert wurde: Wenn eine Rechnung eintrifft, erfasse sie und leite sie weiter. Sie trifft dabei keine eigenen Entscheidungen.

Dahinter steht ein Unterschied im Rechenmodell. Ein Workflow arbeitet deterministisch: gleicher Auslöser, gleicher Ablauf, gleiches Ergebnis, heute wie in sechs Monaten. Ein LLM arbeitet probabilistisch. Es berechnet aus dem Kontext den wahrscheinlichsten nächsten Textbaustein, deshalb kann dieselbe Frage zweimal unterschiedlich beantwortet werden. Genau diese Eigenschaft macht einen Agenten mit unerwarteten Eingaben brauchbar. Sie macht ihn zugleich schwerer prüfbar, und darum bleibt der Workflow für stabile Abläufe so wertvoll: Sie können ihn Schritt für Schritt nachrechnen.

Ein Workflow darf übrigens KI enthalten und bleibt trotzdem ein Workflow. Ruft er an einer Stelle ein LLM auf, um ein Dokument zu klassifizieren, bestimmt weiterhin der vorgezeichnete Ablauf die Reihenfolge. Die beiden Anbieter, die dieses Feld heute prägen, ziehen die Linie an derselben Stelle. Anthropic unterscheidet in «Building Effective AI Agents» Workflows, in denen «LLMs and tools are orchestrated through predefined code paths», von Agenten, in denen «LLMs dynamically direct their own processes and tool usage» [1]. OpenAI wird in seinem Leitfaden für Produktteams noch deutlicher: Anwendungen, die ein LLM einbinden, ohne es die Ausführung steuern zu lassen, «are not agents» [2]. Ein Chatbot mit angehängter Wissensdatenbank fällt damit aus der Kategorie heraus, ein Klassifikator ebenso.

Ein Beispiel: der Anruf

Abstrakt bleiben die Definitionen blass. An einem Anruf werden sie konkret, deshalb nehme ich den hier als Beispiel. Das Telefon sitzt dabei zuoberst auf dem Stapel: Ein Telefonagent braucht dieselben Werkzeuge wie jeder andere Agent und zusätzlich Echtzeit, gesprochene Sprache und einen Menschen am anderen Ende, der nicht wartet. Deshalb behandle ich es hier nur als Beispiel für den Unterschied und im Folgebeitrag als eigene Disziplin.

Stellen Sie sich eine Immobilienverwaltung vor. Ein Workflow kann viel für sie tun: Er überträgt die Meldung aus dem Kontaktformular ins Ticketsystem, verschickt die Eingangsbestätigung, erinnert an offene Fristen. Das funktioniert, weil das Formular die Struktur vorgibt. Der Anrufer am Telefon hält sich selten an eine Struktur. Er beginnt mit der Vorgeschichte, nennt die Adresse zuletzt, vermischt zwei Anliegen und sagt erst auf Nachfrage, dass im Keller Wasser steht. Das Bild stammt aus meinen Jahren im IT-Support: Wer anruft, sucht eine Erklärung für sein Problem und vermischt dabei Dinge. Ist die Person gestresst, besteht die eigentliche Arbeit darin, Struktur und Ruhe ins Gespräch zu bringen.

Hier beginnt das Terrain des Agenten. Er stellt Rückfragen in sinnvoller Reihenfolge und bringt die unstrukturierte Schilderung in die Felder, die Ihr Ticketsystem braucht: Objekt, Person, Anliegen, Dringlichkeit. Der Workflow erledigt den Anruf, den Sie vorhergesehen haben. Der Agent erledigt den Anruf, den Sie so nicht vorhersehen konnten.

Die KMU-Arbeitsmarktstudie 2026 der AXA befragte Schweizer KMU: 35 Prozent integrieren KI bewusst in ihre Prozesse, 39 Prozent erproben sie. Eingesetzt wird sie vor allem für Übersetzungen (47 Prozent), Korrespondenz (42 Prozent) und Werbetexte (35 Prozent). Für Kundenbetreuung nutzen sie 17 Prozent [3]. Schweizer KMU benutzen KI heute also überwiegend als Schreibwerkzeug am eigenen Arbeitsplatz. Der Kundenkontakt, und damit das Telefon, bleibt weitgehend unberührt.

Wann reicht ein Workflow?

Meine Regel im Gespräch lautet: Einen Workflow gibt es immer. Die Frage ist nur, an welchen Schritten Code entscheidet und an welchen das Modell. Wer den Entscheidungsbaum eines Prozesses im Voraus aufzeichnen kann, lässt an jedem Schritt den Code entscheiden. Das kostet weniger, läuft berechenbar und lässt sich Schritt für Schritt prüfen. Anthropic formuliert dieselbe Haltung als Empfehlung an Entwicklungsteams: «finding the simplest solution possible, and only increasing complexity when needed» [1].

Aus meinen Jahren im ERP-Betrieb kenne ich diese Schicht gut: Batch-Jobs von der Produktionsplanung bis zum Mahnlauf, sauber automatisiert. Auffällig war, wie oft am Ende trotzdem ein Mensch entscheiden musste, weil ein Fall aus dem Raster fiel. Genau diese Entscheidungen könnte heute ein Agent übernehmen, während der Rest Workflow bleibt. Terminbuchung und Auskunft über einen Assistenten habe ich für verschiedene Branchen implementiert. Mein Fokus liegt heute auf Immobilienverwaltungen, Arztpraxen und Anwaltskanzleien; in der Vergangenheit durfte ich auch für Treuhand, Reisebüros und Autogaragen umsetzen, überall dort, wo das Personal durch Telefonablenkung entlastet wird. Im eigenen Betrieb zeigt sich die Regel im Kleinen: Ein Cron-Job startet zu fester Zeit einen Agenten, der sich nach einem vorgegebenen Schema Informationen für Lead-Recherche oder Konkurrenzanalyse beschafft und aufbereitet. Das Ergebnis speichert er nach demselben Schema und legt es mir zur Entscheidung vor. Auslöser, Schema und Ablage sind Code, die Beschaffung und Aufbereitung dazwischen ist das Modell.

OpenAI nennt drei Signale, die für einen Agenten sprechen: Entscheidungen mit Ermessensspielraum, Regelwerke, die sich kaum noch pflegen lassen, und Prozesse, die stark auf unstrukturierten Daten beruhen. Trifft keines davon zu, «a deterministic solution may suffice» [2]. Meine eigene Liste führt eine vierte Bedingung, die in den Herstellerleitfäden zwar vorkommt, in Angeboten aber oft fehlt: ein klarer Eskalationspfad für die Fälle, die das System überfordern. Fehlt der, ist der Agent meist die teurere Lösung für ein Problem, das ein Regelwerk sauberer löst.

Zu dieser Warnung gibt es Zahlen. Gartner rechnet damit, dass über 40 Prozent der Agentic-AI-Projekte bis Ende 2027 wieder eingestellt werden, wegen steigender Kosten, unklaren Nutzens oder ungenügender Risikokontrolle. Im selben Bericht beschreibt Gartner das Phänomen des «Agent Washing», also die Umetikettierung bestehender Assistenten, RPA-Werkzeuge und Chatbots, und schätzt, dass von mehreren Tausend Anbietern rund 130 tatsächlich agentische Fähigkeiten liefern [4]. Die Variante, die mir am häufigsten begegnet, ist bescheidener: Ein gewöhnlicher Chatbot, der Fragen aus einer Wissensdatenbank beantwortet, wird als KI-Agent angeboten. Nach der Definition oben ist er keiner, weil er in keinem System handelt und keinen Weg wählt. Wer die Begriffe kennt, kauft die richtige Schicht.

Dabei laufen die Unternehmensgrössen auseinander. Im McKinsey-Bericht «The state of AI in 2026» stieg der Anteil der Organisationen mit über einer Milliarde Dollar Umsatz, die KI-Agenten in mindestens einer Funktion skalieren, von 27 auf 40 Prozent. Bei den kleineren Organisationen blieb er bei 22 Prozent stehen [5], [6]. Für ein KMU ist diese Lücke vor allem eine Auswahlfrage. Ein Konzern kann zehn Agenten-Pilotprojekte parallel abschreiben, ein KMU hat einen Versuch. Umso genauer lohnt sich der Blick, welche Schicht ein Prozess wirklich braucht.

Selbst Microsoft, Anbieter eigener Agenten-Werkzeuge, rät in der Dokumentation zum Agent Framework, vor dem Griff zum Workflow erst einfachere Muster zu prüfen, und beschreibt Workflows als das Mittel der Wahl, «when you need guaranteed execution order that a single agent can't reliably provide on its own» [7]. Microsoft zeichnet dafür ein Spektrum vom vollständig modellgesteuerten bis zum vollständig deterministischen System und hält fest, dass die meisten produktiven Anwendungen in der Mitte liegen. Wer mehr Autonomie mit höherer Reife verwechselt, zahlt in diesem Feld viel Lehrgeld; die beiden Muster passen schlicht zu verschiedenen Arten von Prozessen.

Womit läuft so ein System, und wo liegen die Daten?

In Schweizer KMU-Gesprächen kommt diese Frage oft vor der Architekturfrage. Beantworten lässt sie sich heute besser als noch vor einem Jahr. Die Werkzeugkette hat vier Schichten, und auf jeder gibt es quelloffene Optionen, auf der Modellschicht inzwischen auch Schweizer.

Auf der Workflow-Schicht ist n8n das verbreitetste Werkzeug, das Sie auf eigener Infrastruktur betreiben können. Genau genommen ist n8n quelloffen mit kommerzieller Einschränkung, der Hersteller nennt dieses Modell «fair-code». Die Sustainable Use License erlaubt Nutzung und Anpassung «only for your own internal business purposes or for non-commercial or personal use» [8]. Für ein KMU, das seine eigene Automatisierung selbst hosten will, genügt das; wer die Plattform weiterverkaufen möchte, braucht eine andere Grundlage.

Auf der Agenten-Schicht sind LangGraph, CrewAI und Microsofts Agent Framework drei verbreitete Baukästen. Alle drei stehen unter MIT-Lizenz und werden auf GitHub aktiv weiterentwickelt. Sie legen fest, wie ein Agent Werkzeuge aufruft, Zustand hält und an einen Menschen übergibt. Der Anbieter des LLM bleibt dabei austauschbar.

Auch die Schnittstellen dazwischen sind inzwischen Gemeingut. Anthropic hat das Model Context Protocol, über das Agenten auf Werkzeuge und Daten zugreifen, im Dezember 2025 an die Agentic AI Foundation der Linux Foundation übergeben; Googles Agent-to-Agent-Protokoll liegt seit Juni 2025 ebenfalls bei der Linux Foundation. Gründungs- und Platinmitglieder der Stiftung sind AWS, Anthropic, Block, Bloomberg, Cloudflare, Google, Microsoft und OpenAI [9]. Für Sie als Auftraggeber heisst das: Die Verbindung zwischen Agent und Ihrem CRM läuft über einen offenen Standard, den mehrere Anbieter bedienen. Das senkt die Kosten eines späteren Wechsels.

Bleibt das Modell, und hier hat sich die Schweizer Ausgangslage im letzten Jahr spürbar verändert. ETH Zürich, EPFL und das Nationale Hochleistungsrechenzentrum CSCS haben im Juli 2026 Apertus 1.5 veröffentlicht, ein vollständig offenes LLM unter Apache-2.0-Lizenz, trainiert auf dem Alps-Supercomputer in Lugano. Die Version versteht neben Text auch Bilder und Audio; neben dem grossen Modell steht mit Apertus Mini eine Reihe kompakter Varianten bereit [10]. Offen heisst hier: Gewichte, Trainingsdaten und Trainingscode sind dokumentiert, die Lizenz erlaubt kommerzielle Nutzung. Die erste Version deckte über 1'000 Sprachen ab, darunter Schweizerdeutsch und Rätoromanisch [11].

Für den Betrieb ohne eigene Hardware gibt es Schweizer Adressen. Infomaniak bietet aus Genf und Zürich Modell-APIs auf quelloffener Basis an, mit Verarbeitung in der Schweiz [12]. Wer das Modell selbst betreiben will, lädt die Apertus-Gewichte von Hugging Face und stellt sie auf eigene oder gemietete Hardware.

Für Textaufgaben ist die Auswahl an souveränen Optionen heute breit. Enger wird sie, sobald Echtzeit und gesprochene Sprache dazukommen; das gehört in den Folgebeitrag. Wer Ihnen vollständigen Schweizer Betrieb zusichert, sollte Ihnen sagen können, welcher Baustein wo läuft.

Die Grenze: was ein Agent nicht entscheiden darf

Der wichtigste Bauteil eines produktiven Agenten ist aus meiner Sicht die Grenze: die definierte Linie, an der die Zuständigkeit des Agenten endet und ein Mensch übernimmt. Modell und Werkzeug sind daneben zweitrangig.

Zwei Begriffe werden dabei oft vermischt. Leitplanken regeln das Verhalten des Agenten innerhalb seines Auftrags: wie er spricht, welche Auskunft er gibt, was er nie behauptet. Die Grenze regelt die Zuständigkeit, also ab welchem Punkt ein Fall dem Agenten nicht mehr gehört. Eine Leitplanke hält ihn in der Spur, die Grenze sagt ihm, wo die Spur aufhört. Was an der Grenze passiert, heisst Übergabe: der geordnete Wechsel zum Menschen.

Konkret heisst das: Der Agent stellt keine medizinischen Einschätzungen an, führt keine Verhandlungen und trifft keine rechtlich bindenden Einzelfallentscheide. Trifft er auf einen solchen Fall, folgt er dem definierten Pfad und übergibt an die Stelle, die Sie bestimmt haben. Diese Übergabe ist der vorgesehene Erfolgsfall des Systems. Ein Agent, der eine dringende Meldung entgegennimmt und sie nirgends hinschickt, wäre dagegen ein Haftungsrisiko. Deshalb gehört die Eskalation an den Menschen in jede Ausbaustufe, auch in die kleinste.

Technisch verankert ist die Grenze im Rechtekonzept, nach dem Prinzip der Funktionstrennung (Segregation of Duties): Der Agent erhält nur die Zugriffe, die sein Auftrag verlangt. Er darf einen Termin lesen und eintragen, aber keine Zahlung freigeben, denn was er nicht entscheiden darf, soll er auch nicht auslösen können.

Die Herstellerleitfäden sehen das genauso. OpenAI führt die geplante menschliche Intervention als kritische Schutzvorkehrung und nennt zwei Auslöser: überschrittene Fehlerschwellen und Handlungen, die sensibel, unumkehrbar oder folgenreich sind [2]. Microsoft sieht im Agent Framework dafür explizite Human-in-the-loop-Tore an definierten Punkten im Ablauf vor [7]. In einem KMU wiegt diese Vorkehrung schwerer als im Leitfaden, weil hier selten jemand danebensitzt und mitliest.

In der Praxis ist ein produktiver Agent darum ein Hybrid. Der Rahmen ist deterministisch: der Ablauf, die Eskalationspfade, das Format des Ergebnisses. Agentisch ist nur die Entscheidung innerhalb dieses Rahmens. So entwickle ich meine Systeme: Der Agent hat die Anweisung, in bestimmten Situationen nach Muster A, B oder C zu reagieren, und jedes Muster löst einen festgelegten Ablauf aus. Welches Muster zutrifft, entscheidet er anhand von Kriterien, wie es ein Mensch am Telefon auch täte. Was ihm dabei meist noch fehlt, ist die emotionale Einschätzung des Gegenübers, und auch das ist ein Grund, die Grenze eng zu ziehen. Diese Architektur ist der Grund, warum sich die Systeme im Tagesgeschäft betreiben lassen.

Die Übergabe selbst ist dabei selten das Problem, das ich in der Einführung sehe. Häufiger ist es die Zeit, die sie freisetzt. In der Übergangsphase haben Mitarbeitende plötzlich Kapazität, und dann steht die Qualität des Agenten in Frage: Er hätte dies noch fragen und jenes noch erklären können. Vieles davon war nie Teil der Anforderung, ein Teil davon ist berechtigt, und daraus entsteht die nächste Optimierung. Mehr freie Zeit heisst in den meisten Fällen auch mehr Freiheit und mehr Verantwortung für die Person, die den Prozess vorher am Telefon abgearbeitet hat. Oder die Stelle wird obsolet. Beides gehört vor dem Projekt auf den Tisch, mit dem Business Case.

Daraus ergibt sich auch die Testfrage für jedes Anbietergespräch: «Welche Fälle darf das System nicht entscheiden, und wohin gehen sie dann?» Wer darauf eine konkrete Antwort hat, mit benannten Fällen und einem benannten Pfad, hat den Live-Betrieb erlebt. Ausweichende Antworten sind ein Warnsignal, unabhängig davon, wie beeindruckend die Demo war.

Die Entscheidung in vier Fragen

Wenn Sie vor der Wahl stehen, führen vier Fragen erstaunlich weit:

1. Lässt sich der Ablauf im Voraus aufzeichnen? Dann Workflow. Werkzeuge wie n8n verbinden Ihre Systeme ohne LLM-Risiko; einen Überblick gibt die Seite zur Prozessautomatisierung.
2. Variieren die Eingaben, und braucht der Prozess Urteilsvermögen im Moment? Dann lohnt sich die Prüfung eines Agenten, mit definiertem Werkzeugkasten und Eskalationspfad. Wie das am Telefon aussieht, beschreibt der Beitrag Was ist ein Voice Agent?
3. Ist die Grenze definiert? Ohne benannte Übergabe an den Menschen würde ich weder Workflow noch Agent produktiv schalten, den Agenten erst recht nicht.
4. Wo dürfen die Daten liegen? Diese Frage gehört an den Anfang, weil sie die Werkzeugwahl bestimmt. Ein Prozess mit Personendaten aus Ihrem CRM verträgt andere Modelle und andere Rechenzentren als eine interne Textaufgabe. Klären Sie das, bevor Sie sich auf ein Werkzeug festlegen.

Vor jedem Projekt steht bei mir der Business Case: Erst wenn sich die Automatisierung rechnet, wird sie umgesetzt. Fällt die Antwort negativ aus, sage ich Ihnen das genauso deutlich. Und wenn Sie tiefer einsteigen wollen, wie Sie Aufgaben zwischen Mensch, Workflow und Agent aufteilen: Der Beitrag zur Eisenhower-Matrix für KI-Agenten führt das Denkraster weiter.